вижу что вирус есть, а удалить не могу

Доброго времени суток!
Суть проблемы: в корневом каталоге дисков появляется autorun.inf, пустой файл kqh и exe файл с произвольным названием. Установлен NOD32 2.7, делал проверку Cure-It и AVP Tool последних версий и с обновлёнными базами. Exe файл распознаётся NOD`ом как вирус и благополучно удаляется, но через некоторое время все три файла появляются снова. Заметно медленее начал работать компьютер. Так же обнаружил, что почти все сайты Касперского и Др.Веба не открываются в IE. Иногда пропадает интернет. Подключение остаётся, но ничего не работает.
Добавлю: Сканировал также Ad Aware, тоже ничего не находит.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('CCRFG');
QuarantineFile('C:\WINDOWS\system32\CCRFG.SYS','');
QuarantineFile('C:\WINDOWS\system32\msxml71.dll','');
DeleteFile('C:\WINDOWS\system32\msxml71.dll');
DeleteFile('C:\WINDOWS\system32\CCRFG.SYS');
DelBHO('{D88E1558-7C2D-407A-953A-C044F5607CEA}');
DelBHO('{500BCA15-57A7-4eaf-8143-8C619470B13D}');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('CCRFG');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[CODE]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/CODE]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 2 п.4 правил).
- Прикрепите логи к новому сообщению.

Скрипт выполнил, карантин пуст. log файлы прилагаю

Карантин пуст, скрипт выполнил, файлы логов прилагаю

syscure не могу приложить, пишет:
[B]virusinfo_syscure.zip[/B]:
Вы уже вложили этот файл в теме: [URL="http://virusinfo.info/showthread.php?t=31473"][COLOR=#0532aa]вижу что вирус есть, а удалить не могу[/COLOR][/URL]


Кстати, все 3 файла опять на месте...и khq и autorun и exe файл с произвольным именем файла

Вы скрипт лечения и сбора... по п.1 Диагностики [B]после [/B]моего скрипта выполняли?
Удалите старые логи через Мой Кабинет/Вложения и прикрепите последний лог syscure

Да, конечно. Скрипт выполнил, потом перезагрузился, сделал новые логи.

3 файла появляются с переодичностью примерно в 1 час.
Смотрел по процессам, был когда то crcss в памяти, его зачистил, ссылки на него удалил...Тоже гад не определялся антивирусами. Вот теперь эту гадость не могу вывести

[QUOTE=Alexsem;293079]Да, конечно. Скрипт выполнил, потом перезагрузился, сделал новые логи.[/QUOTE]virusinfo_syscure.html Сканирование запущено в 05.10.2008 [B]11:15:42[/B]
hijackthis.log - Scan saved at [B]19:08:44[/B], on 05.10.2008
Это значит, что скрипт по п.1 после моего скрипта не был выполнен до конца, лог не сохранен. Поэтому он был распознан, как уже загруженный и не прикреплялся к сообщению
[CODE]begin
SetAVZPMStatus(True);
RebootWindows(true);
end.[/CODE]
Повторите логи.
Следите за временем создания!!!

Заново выполнил Ваш скрипт, далее выполнел всё по правилам. Логи прилагаю, прилагаю также содержимое карантина.

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\\system32\drivers\TDSSserv.sys','');
DelBHO('{500BCA15-57A7-4eaf-8143-8C619470B13D}');
QuarantineFile('C:\WINDOWS\system32\msxml71.dll','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('D:\pzbhiu.exe','');
QuarantineFile('F:\autorun.inf','');
DeleteFile('F:\autorun.inf');
DeleteFile('D:\pzbhiu.exe');
DeleteFile('D:\autorun.inf');
DeleteFile('C:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\msxml71.dll');
DeleteFile('C:\WINDOWS\system32\drivers\TDSSserv.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 2 правил).
- Прикрепите логи к новому сообщению.

Необходимые действия выполнил, логи и содержимое карантина прилагаю

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{500BCA15-57A7-4eaf-8143-8C619470B13D}');
DeleteFile('C:\WINDOWS\system32\msxml71.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи

Скрипт выполнил, проверку сделал. Логи прилагаю.

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{500BCA15-57A7-4eaf-8143-8C619470B13D}');
BC_DeleteFile('F:\autorun.inf');
BC_DeleteFile('C:\WINDOWS\system32\msxml71.dll');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи

Выполнил скрипт. Выполнил все пункты. Логи прилагаю

Ad-Aware - деинсталировать ... выполнить скрипт из поста 10 ,повторите логи ....

Ad-Aware деинсталировал, скрипт выполнил. Повторил логи

[URL="http://www.atribune.org/ccount/click.php?id=1"]этим удалите временные файлы[/URL] отметить все галки
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('aawservice');
DelBHO('{500BCA15-57A7-4eaf-8143-8C619470B13D}');
DeleteFile('C:\WINDOWS\system32\msxml71.dll');
DeleteFile('C:\Downloads\1\AdAwarePortable\App\AdAware\aawservice.exe');
DeleteFileMask('%Tmp%', '*.*', true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
virusinfo_syscheck.zip повторите

Скрипт выполнил, темпы почистил. Лог прилогаю

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{500BCA15-57A7-4eaf-8143-8C619470B13D}');
ExecuteSysClean;
BC_DeleteFile('C:\WINDOWS\system32\msxml71.dll');
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи по п 2 и 3 Диагностики.

Скрипт выполнил, логи сделал

[URL="http://dw.com.com/redir?edId=3&siteId=4&oId=3001-8022_4-10878968&ontId=8022_4&spi=3e4ae661adc17c20bf9fb27686d0fece&lop=txt&tag=idl2&pid=10878968&mfgId=6290020&merId=6290020&pguid=1ApgKQoPjF8AABGHSk8AAACY&destUrl=http%3a%2f%2fsoftware-files.download.com%2fsd%2fxYVl4h5pQKkin2p2TxZY0_WD1a6xGrmiIi5w3CMIoozOmpHKVj7cIttpDT3BK4qsmFDfVGk6PVfqce51HuABYeWCsdA5GWyO%2fsoftware%2f10878968%2f10804572%2f3%2fmbam-setup.exe%3flop%3dlink%26ptype%3d1901%26ontid%3d8022%26siteId%3d4%26edId%3d3%26spi%3d3e4ae661adc17c20bf9fb27686d0fece%26pid%3d10878968%26psid%3d10804572"]Скачать[/URL], обновить базы, полный скан, лог в студию.

ща качну. Тоже никак блин не могу эту вирусню выловить...Всё нахожу вроде, удаляю. А потом оно опять появляется....

Хорошая софтинка)) Нашла кишки моих предидущих вирей, которые я не удалил сам. Лог прилогаю

[QUOTE=Alexsem;295888]Хорошая софтинка)) Нашла кишки моих предидущих вирей, которые я не удалил сам.[/QUOTE]
Можете удалить:
[CODE]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\tdssdata
HKEY_LOCAL_MACHINE\SOFTWARE\tdss
HKEY_CLASSES_ROOT\WR
HKEY_CURRENT_USER\SOFTWARE\MicroAV
C:\WINDOWS\system32\TDSSl.dll
C:\WINDOWS\system32\tdssserf1.dll
C:\WINDOWS\system32\tdssmain.dll
C:\WINDOWS\system32\tdssinit.dll
C:\WINDOWS\system32\tdssservers.dat
C:\WINDOWS\system32\TDSSerrors.log[/CODE]

я сразу удалил всё найденое. На этом закончим?:) Если да, то спасибо. Очень помогли мне. Сам что то я долго ковырялся, а удалил не всё.

[QUOTE=Alexsem;295903]я сразу удалил всё найденое. [/QUOTE]А почему лог другой прикрепили?

ммм...похоже что он сохраняется сразу после окончания проверки, а потом предлогает его сохранить ещё раз. Наверное из-за этого так вышло. Прошу прощения за путаницу

Блин...после перезагрузки появился и autorun.inf на всех дисках и файл khp и рандомный exe файл... Не вывелся вирусяка

после перезагрузки появился и autorun.inf на всех дисках и файл khp и рандомный exe файл. Их то я вручную удаляю как вижу. Но они через какое то время опять появляются... Что делать? выложить логи по новому?

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]28[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\bcqr00001.dta - [B]Rootkit.Win32.Agent.eeq[/B] (DrWEB: BackDoor.Tdss.14)[*] \\bcqr00002.dta - [B]Rootkit.Win32.Agent.eeq[/B] (DrWEB: BackDoor.Tdss.14)[*] c:\\autorun.inf - [B]Worm.Win32.AutoRun.qgr[/B][*] d:\\autorun.inf - [B]Worm.Win32.AutoRun.qgs[/B][*] d:\\pzbhiu.exe - [B]Worm.Win32.AutoIt.ct[/B] (DrWEB: Win32.HLLW.Autoruner.2785)[*] f:\\autorun.inf - [B]Worm.Win32.AutoRun.qgr[/B][/LIST][/LIST]